Η ΤΝ μπορεί να εντοπίζει περισσότερες ευπάθειες από ποτέ. Οι άνθρωποι εξακολουθούν να πρέπει να αποφασίζουν τι ακολουθεί.

Εδώ και χρόνια, οι ομάδες κυβερνοασφάλειας λειτουργούν με βάση μια απλή παραδοχή: αν μπορούσαμε να εντοπίζουμε περισσότερες ευπάθειες πιο γρήγορα, θα κάναμε το λογισμικό ασφαλέστερο.

Η τεχνητή νοημοσύνη θέτει αυτή την παραδοχή υπό αμφισβήτηση. Καθώς η ευρύτερη συζήτηση για την ΤΝ μετατοπίζεται από την ταχεία υιοθέτηση στην αποτίμηση μετρήσιμων αποτελεσμάτων, η κυβερνοασφάλεια αναδεικνύει μια πρόκληση που δεν θα εξαφανιστεί αν επιβραδυνθεί η ανάπτυξη της ΤΝ. Οι οργανισμοί έρχονται ήδη αντιμέτωποι με έναν αυξανόμενο όγκο ευρημάτων ευπαθειών που παράγονται από την ΤΝ και εξακολουθούν να απαιτούν ανθρώπινη επαλήθευση, ιεράρχηση προτεραιοτήτων και αποκατάσταση.

Τα πρόσφατα ευρήματα από το Project Glasswing προσφέρουν ένα από τα σαφέστερα παραδείγματα μέχρι σήμερα. Σύμφωνα με αναφορές, το Claude Mythos Preview εντόπισε περισσότερα από 26.000 ευρήματα ευπαθειών σε έργα λογισμικού μέσα σε λίγους μόλις μήνες. Ωστόσο, σύμφωνα με ανεξάρτητη ανάλυση του δημόσιου μητρώου γνωστοποιήσεων του Glasswing, μόνο περίπου το 10% αυτών των ευρημάτων έχει φτάσει στη διαδικασία γνωστοποίησης, ενώ λιγότερο από το 1% έχει τελικά διορθωθεί με ενημερώσεις κώδικα.

Αυτοί οι αριθμοί είναι εντυπωσιακοί, αλλά δεν θα έπρεπε να προκαλούν έκπληξη. Ο κλάδος έχει περάσει δεκαετίες βελτιστοποιώντας τον εντοπισμό. Αυτό που δεν έχει δημιουργήσει είναι η ικανότητα να επεξεργάζεται ευρήματα ευπαθειών σε κλίμακα ΤΝ.

Το σημείο συμφόρησης στην κυβερνοασφάλεια δεν είναι πλέον ο εντοπισμός. Είναι όσα ακολουθούν.

Ο εντοπισμός ευπαθειών δεν ήταν ποτέ το δυσκολότερο μέρος

Σε πρώιμη ενημέρωση από το Project Glasswing, η Anthropic σημείωσε ότι η πρόοδος περιοριζόταν ολοένα και περισσότερο όχι από τον εντοπισμό ευπαθειών, αλλά από την ανθρώπινη εργασία που απαιτείται για την επαλήθευση των αναφορών, τον συντονισμό των γνωστοποιήσεων και την υποστήριξη των προσπαθειών αποκατάστασης. Η εταιρεία σημείωσε επίσης ότι ορισμένοι συντηρητές ζήτησαν βραδύτερους ρυθμούς γνωστοποίησης, επειδή δεν είχαν την ικανότητα να επεξεργαστούν τον όγκο των ευρημάτων που παράγονταν.

Αυτή η διάκριση έχει σημασία, επειδή ο εντοπισμός ευπαθειών και η αποκατάστασή τους είναι δραστηριότητες θεμελιωδώς διαφορετικές.

Ο εντοπισμός αποτελεί ολοένα και περισσότερο πρόβλημα αναγνώρισης μοτίβων. Τα σύγχρονα συστήματα ΤΝ είναι εξαιρετικά στην ανάλυση μεγάλων βάσεων κώδικα, στον εντοπισμό ασυνήθιστης συμπεριφοράς, στην ιχνηλάτηση διαδρομών εκτέλεσης και στην ανάδειξη πιθανών αδυναμιών.

Η αποκατάσταση είναι διαφορετική. Για να διορθωθεί μια ευπάθεια, απαιτείται κατανόηση του πλαισίου. Κάποιος πρέπει να εξακριβώσει αν το ζήτημα είναι πραγματικό, να κατανοήσει τις πιθανές επιπτώσεις, να αξιολογήσει πιθανές διορθώσεις, να διασφαλίσει ότι οι αλλαγές δεν θα προκαλέσουν παλινδρομήσεις, να συντονίσει τα χρονοδιαγράμματα γνωστοποίησης, να επικοινωνήσει με τα ενδιαφερόμενα μέρη και, τελικά, να αναλάβει την ευθύνη για το αποτέλεσμα.

Αυτό το τελευταίο σημείο είναι κρίσιμο. Η ΤΝ μπορεί να εντοπίσει μια πιθανή ευπάθεια, αλλά δεν μπορεί να λογοδοτήσει για όσα θα ακολουθήσουν. Η επαλήθευση, η διαλογή, η διόρθωση και η αναφορά θα απαιτούν πάντα έναν άνθρωπο που λογοδοτεί για το έργο που συντηρεί. Κι αυτό απαιτεί χρόνο από ανθρώπους που συχνά έχουν εργασία πλήρους απασχόλησης, οικογένεια και άλλες υποχρεώσεις που διεκδικούν την προσοχή τους. Σε πολλά έργα ανοικτού κώδικα, ο περιοριστικός παράγοντας δεν είναι η έλλειψη ορατότητας ως προς τους κινδύνους, αλλά η δυνατότητα των συντηρητών και των ομάδων ασφάλειας να αξιολογούν υπεύθυνα και να αντιμετωπίζουν έναν διαρκώς αυξανόμενο όγκο ευρημάτων.

Αυτή είναι η θεμελιώδης διαφορά ανάμεσα στον εντοπισμό και την αποκατάσταση. Η ΤΝ μπορεί να μας βοηθήσει να κλιμακώσουμε τον εντοπισμό, που αποτελεί ολοένα και περισσότερο ένα τέτοιο πρόβλημα. Η αποκατάσταση εξακολουθεί να εξαρτάται από ανθρώπους που διαθέτουν το πλαίσιο, την εξουσία και την ευθύνη να ενεργήσουν με βάση όσα εντοπίζει η ΤΝ.

Η πρόκληση του ανοικτού κώδικα

Αυτή η δυναμική γίνεται ακόμη πιο εμφανής σε όλο το οικοσύστημα ανοικτού κώδικα. Καθώς στοιχεία ανοικτού κώδικα υπάρχουν στο 98% των εμπορικών βάσεων κώδικα, η συντριπτική πλειονότητα των ψηφιακών υποδομών του κόσμου βασίζεται σε έργα που συντηρούν σχετικά μικρές ομάδες συνεισφερόντων.

Σε πολλές περιπτώσεις, οι άνθρωποι που είναι υπεύθυνοι για τη συντήρηση αυτού του κρίσιμου λογισμικού είναι εθελοντές ή άτομα που συνδυάζουν τις ευθύνες τους για το έργο με εργασία πλήρους απασχόλησης και προσωπικές υποχρεώσεις. Καθώς η ΤΝ αυξάνει τον όγκο του λογισμικού και των ευπαθειών που εντοπίζονται σε αυτό, η δυνατότητα των συντηρητών να ανταποκριθούν στον ρυθμό των εξελίξεων γίνεται ολοένα και σημαντικότερο μέρος της εξίσωσης της ασφάλειας.

Όταν ένα σύστημα ΤΝ αρχίζει ξαφνικά να παράγει εκατοντάδες ή χιλιάδες πιθανά ευρήματα σε ένα οικοσύστημα έργων, οι συντηρητές γίνονται ο περιοριστικός παράγοντας.

Αυτό δεν αποτελεί κριτική προς τους συντηρητές. Αντικατοπτρίζει την πραγματικότητα.

Ακόμη και πριν από την εμφάνιση του εντοπισμού ευπαθειών με τη βοήθεια της ΤΝ, πολλά έργα ανοικτού κώδικα δυσκολεύονταν λόγω περιορισμένων πόρων, αυξανόμενων απαιτήσεων ασφάλειας και ολοένα μεγαλύτερου φόρτου συντήρησης. Η ΤΝ εντείνει την πίεση σε ένα σύστημα που ήδη λειτουργούσε στα όριά του.

Η πρόκληση δεν είναι απλώς να διαπιστωθεί αν υπάρχει ευπάθεια. Η πρόκληση είναι όλα όσα συμβαίνουν στη συνέχεια.

Κάποιος πρέπει να εξετάσει την αναφορά. Κάποιος πρέπει να αναπαραγάγει το ζήτημα. Κάποιος πρέπει να αποφασίσει αν συνιστά κίνδυνο για την ασφάλεια. Κάποιος πρέπει να αναπτύξει και να δοκιμάσει μια διόρθωση. Κάποιος πρέπει να συντονίσει τη γνωστοποίηση και τη διάθεση ενημερώσεων. Αυτές οι ευθύνες δεν μπορούν απλώς να αυτοματοποιηθούν.

Καθώς τα ευρήματα που παράγονται από την ΤΝ συνεχίζουν να αυξάνονται, οι οργανισμοί που βασίζονται σε λογισμικό ανοικτού κώδικα θα εξαρτώνται ολοένα και περισσότερο από την υγεία και τη βιωσιμότητα των ανθρώπων που το συντηρούν.

Προετοιμασία για την έξαρση του εντοπισμού ευπαθειών με τη βοήθεια της ΤΝ

Τι πρέπει, λοιπόν, να κάνουν οι επιχειρήσεις; Πρώτον, οι οργανισμοί πρέπει να αναγνωρίσουν ότι ο εντοπισμός ευπαθειών με τη βοήθεια της ΤΝ δεν είναι ένα μελλοντικό πρόβλημα. Συμβαίνει ήδη. Το Project Glasswing έδειξε ότι τα προηγμένα μοντέλα μπορούν να εντοπίζουν ευπάθειες σε κλίμακα που θα ήταν δύσκολο να φανταστεί κανείς μόλις πριν από λίγα χρόνια.

Δεύτερον, οι υπεύθυνοι για την ασφάλεια πρέπει να αξιολογήσουν κατά πόσο οι διαδικασίες αποκατάστασης μπορούν να αναπτυχθούν παράλληλα με τις δυνατότητες εντοπισμού ευπαθειών. Πολλοί οργανισμοί έχουν επενδύσει σημαντικά στον εντοπισμό ευπαθειών, ενώ δεν έχουν επενδύσει αρκετά στους ανθρώπους και τις διαδικασίες που είναι υπεύθυνοι για την αντιμετώπισή τους.

Τρίτον, οι επιχειρήσεις πρέπει να δώσουν μεγαλύτερη προσοχή στη συντήρηση λογισμικού ως λειτουργία ασφάλειας. Η ασφάλεια συζητείται συχνά με όρους πρόληψης και εντοπισμού, όμως η μακροπρόθεσμη συντήρηση παραμένει ένα από τα σημαντικότερα και λιγότερο αναγνωρισμένα στοιχεία της διαχείρισης κινδύνων. Η ΤΝ μπορεί να διευκολύνει τον εντοπισμό ευπαθειών, αλλά δεν μειώνει την ευθύνη για τη διατήρηση της ασφάλειας κρίσιμου λογισμικού με την πάροδο του χρόνου. Οι οργανισμοί χρειάζονται μια στρατηγική για την ανάληψη ευθύνης σε όλο τον κύκλο ζωής, η οποία θα τους επιτρέπει να εκσυγχρονίζουν τα συστήματά τους μεθοδικά, αντί να αναγκάζονται να προχωρούν σε βεβιασμένες μετα migrations ή σε αντιδραστικές προσπάθειες αποκατάστασης όταν ανακύπτουν κίνδυνοι.

Τέλος, οι οργανισμοί πρέπει να στηρίζουν τα ευρύτερα οικοσυστήματα από τα οποία εξαρτώνται. Καθώς η ΤΝ επιταχύνει τον εντοπισμό ευπαθειών στο λογισμικό ανοικτού κώδικα, οι συντηρητές του θα αντιμετωπίζουν ολοένα μεγαλύτερες απαιτήσεις. Η ασφάλεια της αλυσίδας εφοδιασμού λογισμικού εξαρτάται τελικά από το αν οι συντηρητές διαθέτουν τους πόρους που χρειάζονται για να ανταποκριθούν.

Η ΤΝ μπορεί να εντοπίζει ευπάθειες ταχύτερα. Όμως ο εντοπισμός τους δεν καθιστά το λογισμικό ασφαλές. Η δυσκολότερη δουλειά είναι η αξιολόγηση του κινδύνου, η ιεράρχηση των σημαντικότερων ζητημάτων, η διάθεση δοκιμασμένων διορθώσεων και η διατήρηση της ασφάλειας του λογισμικού με την πάροδο του χρόνου. Καθώς επιταχύνεται ο εντοπισμός ευπαθειών, οι οργανισμοί θα χρειαστούν διαρκή δυνατότητα αποκατάστασης, υποστηριζόμενη από τεχνογνωσία, λογοδοσία και σαφώς καθορισμένα επίπεδα υπηρεσιών.

Επειδή το δυσκολότερο πρόβλημα στην κυβερνοασφάλεια δεν είναι ο εντοπισμός της ευπάθειας. Είναι το τι συμβαίνει στη συνέχεια.